שינוי חתימה של Payload

תמלול ההרצאה: שינוי חתימה של Payload

הטקסט המלא של הדקות הראשונות בהרצאה «שינוי חתימה של Payload» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   טוב חברים, איך אנחנו חומקים מההגנה הראשונה של חתימות שיש לאנטיווירוס? אני מזכיר לכם שחתימות זה אוסף מילים רעות שמזהות את הקוד הזדוני שהוא כבר יודע, או אוסף מספרים, רצף של כל מיני מספרים שמזהים את הקוד הזדוני שהוא כבר מכיר.

2. 00:23

   לפי החתימה הזאת הוא מזהה אותי כרע. איך אני חומק מהזיהוי הזה? אז קודם כל, שיטה הכי פשוטה, פשוט לכתוב קוד חדש לחלוטין. לכתוב קוד חדש לחלוטין ואף אחד לא יזהה אותי וזה הכי פשוט אבל אני רוצה לקחת קוד מקורי קוד מקורי שלא יזהו אותי זה האתגר האמיתי למה קוד מקורי, אוריג'ינל פיילוד?

3. 00:47

   כי אני כבר יודע שהוא עובד טוב, יש לו יכולות גבוהות הוא יודע לשים ברג'יסטרי שאחרי הריסטארט הקוד שלי יופעל הוא יודע להכניס אותי כסרוויס, הוא יודע לגלות לי מחשבים ברשת הוא יודע לתקשר איתי במוצפן

4. 01:03

   יש לי קוד פיילואוד מצוין שעובד ולא בא לי לכתוב אחד חדש. אז איך אני מתחמק מאנטיווירוס כשהחתימה של הפיילואוד שלי כבר ידועה לו והוא מנסה לתפוס אותי?

5. 01:16

   אז בואו נתחיל משיטות פשוטות יחסית שנקראות פולימורפיזם. מה זה פולימורפיזם? שינוי צורה. אני קורא לזה פולימורפיזם level 1. למה level 1? כי זאת השיטה הכי כזאת פשוטה.

6. 01:29

   אני בא לקחת את הפיילואוד הקיים ולקודד אותו. מה זה לקודד? נניח להציג אותו בצורה טיפה שונה כאשר התקן של הקידוד זה משהו שידוע כמו בייס 64 או יש קידודים אחרים בקאלי לינוקס אני אראה לכם את הקידודים האלו בהמשך הבעיה בקידודים האלו בגלל שהם ידועים הם באמת היו חומקים מהחתימות הידועות עד שהיצרנים של אנטיווירוס

7. 01:57

   למדו את אותם החתימות גם לאחר הקידוד זאת אומרת למדו את האלגוריתמים הידועים של הקידוד ולמעשה זה כבר לא עובד היום. אז מה עשו האנשים הרעים?

8. 02:09

   האנשים הרעים אמרו בואו נעשה קידוד סודי שאף אחד לא מכיר אותו. נעשה קידודים סודיים. עכשיו מה ההבדל בין קידוד להצפנה? שאין מפתח סודי, זה פשוט קידוד מבולבל יותר.

9. 02:21

   הצגה שונה של מידע בצורה מבולבלת כזאת שאי אפשר יהיה לעלות עלינו וזה נקרא Obfuscate, הרפול, באנגלית זה הרפול. הרפול של הקוד אנחנו מבלבלים אותו.

10. 02:33

    ויש לנו הרבה תוכנות שיודעות לעשות אופיוסקייט, לערפל את הקוד, לקודד אותו בצורה שונה ומשונה, בצורה סודית.

11. 02:43

    לדוגמה, יש UPX פייקר. מה הוא עושה, ה-UPX פייקר הזה? אתם יכולים בגוגל לראות אותו, זה קוד פתוח, אני פשוט לא רוצה לבזבז זמן להראות לכם, תאמינו לי, זה קוד פתוח שמופיע בגוגל.

12. 02:55

    הוא מכווץ ויודע לפתוח קיבוץ של קובץ אקזה בזיכרון. זאת אומרת, אני מביא לו מראש קובץ אקזה, עושה עליו זיפ אני שולח ללקוח את הקובץ זיפ שאם הוא יעשה דאבל קליק עליו הוא יעשה לו אנט זיפ בזיכרון הראם ויפעיל אותו למעשה זה כמו זיפ ואנט זיפ אבל לא בתוך ארדיסק אלא ישירות בזיכרון לקובץ אקזה ה-upxpaker הזה הוא מצוין כי הוא חוסך מקום ובזיכרון כמו הזיפ הרגיל והוא נפתח לבד ומופעל לבד זה

13. 03:31

    למעשה זיפ לתוכנות אקזה שפועל כולו בזיכרון מה האנשים הרעים עושים? מה העקירים עושים? לוקחים את ה-UPX פקר הזה ואומרים לו, בגלל שאתה מכווץ, בגלל שאתה מבלבל, בוא תכווץ את הקובץ הזדוני שלי ואז האנטיווירוס לא יזהה אותו.

14. 03:48

    אני יכול לקחת את ה-UPX פקר הזה ולשנות אותו קצת כי הוא קוד פתוח ואז הוא יכווץ דברים בזיו בצורה קצת שונה, לשנות לו קצת את האלגוריתם ואז אני למעשה בלבלתי את האנטיווירוס כי הוא לא מזהה חתימה, כי כבר הכל מבולבל, וההצפנה, זה לא הצפנה, זה אינקודינג סודי, קידוד סודי, וזה די דומה כבר להצפנה, זה כבר משהו בין

15. 04:12

    הצפנה לקידוד. אז אופטפיוסקייט זה קידוד של מידע בצורה שונה, מבולבלת, לרוב סודית, ו-UPX פייקר אפשר לנצל אותו למטרה הזאת, אפשר גם לנצל אותו למטרה טובה, לקחת קובץ אקזה, לכווץ אותו, לשלוח ללקוח, הוא עושה דאבל קליק,

16. 04:30

    עובד לא רגיל, אבל תפס פחות מקום, פחות זיכרון, כמו קובץ זיפ רגיל. זה UPC Packer, זה זיפ קיבוץ לקבצי אקזה שנפתח בזיכרון ואם לוקחים אותו ומשנים אותו קצת והוא כבר נהיה custom made כזה, זה כבר כמו אופוסקייט.

17. 04:48

    ככה משתמשים בזה. דרך אגב, בעולם האמיתי המון וירוסים משתמשים ב-UPC Packer הזה על אמת כדי לנסות עוד קצת לאספות את עצמם.

18. 04:58

    זה לא כזה יעיל אבל עדיין זה עוזר ובמציאות היום משתמשים בזה. זאת אומרת הווירוסים האמיתיים, המלווארים האמיתיים, הסוסים הטרויאניים האמיתיים לוקחים UPS פייקר המקורי משנים אותו קצת כדי שלא יהיה פשוט לפתוח אותו ושמים את הקוד הזדוני מכווץ שמה ושמים על עצמם עוד שכבת הגנה מפני גילוי אבל כל זה זה בלי מפתחות סודיים זה בלבול

19. 05:24

    של קוד הקיים יש שכבה הבאה זה נקרא להצפין payload קיים מה זה אומר להצפין זה אומר נניח כל אות אני מזיז בשלוש קדימה נניח A הופכת להיות D כל אחד אני מזיז נניח בשלוש קדימה או בשלוש עשרה קדימה כמה שאני מחליט יש מפתח סודי וחוץ מזה כל אות מספר שבע עשרה אני מוריד לשמונה אותיות אחורה כאילו אני מתחיל לבלבל את הקוד ויש לי מפתח

20. 05:50

    סודי שפותח את ההצפנה למעשה קידוד פלוס מפתח סודי זה הצפנה ואנחנו הולכים לעשות את זה אנחנו הולכים להמציא איתכם מפתח נניח סתם נזיז את כל האותיות תשע עשרה מקומות קדימה וכל אות מספר שבע נוריד לשלוש